MongoDB replica sets: ช่องโหว่ use-after-free ก่อนยืนยันตัวตนอาจทำให้เซิร์ฟเวอร์ขัดข้อง (CVE-2026-118383)

สิ่งที่เกิดขึ้น

เมื่อวันที่ 10 พฤศจิกายน 2026 MongoDB เปิดเผย CVE-2026-118383 ซึ่งเป็นช่องโหว่ use-after-free ในส่วนการทำสำเนาของ MongoDB Server ช่องโหว่นี้ได้คะแนน 9.0 ตาม CVSS ปัญหาอาจเกิดขึ้นเมื่อ primary ของ replica set ที่เพิ่งได้รับการเลือกตั้งทำงาน catch-up เสร็จสิ้น คำขอที่ไม่ต้องยืนยันตัวตนสามารถกระตุ้นได้ ผลที่เกิดขึ้นคือโปรเซส server อาจหยุดทำงานโดยไม่คาดคิด และภายใต้เงื่อนไขบางอย่างอาจนำไปสู่การรันโค้ดตามอำเภอใจในบริบทของโปรเซส server ได้

ตาม The Hacker News ความเสี่ยงอยู่ที่สมาชิก replica set ที่ตามข้อมูลไม่ทันแล้วกลายเป็น primary เช่น ระหว่าง failover MongoDB ได้เผยแพร่การแก้ไขแล้ว ช่องโหว่นี้ไม่อยู่ในรายการ known exploited vulnerabilities ของ CISA และไม่มีแหล่งข้อมูลใดรายงานการโจมตี

ใครได้รับผลกระทบ

• ได้รับผลกระทบ: โปรเซส mongod ที่ทำงานเป็นสมาชิกของ replica set ซึ่งรวมถึง replica set ของ shard และ replica set ของ config server ในคลัสเตอร์แบบ sharded
• ไม่ได้รับผลกระทบ: mongod แบบสแตนด์อโลนที่ไม่ได้อยู่ใน replica set

ช่องโหว่นี้สามารถถูกกระตุ้นก่อนการยืนยันตัวตน ดังนั้นการเปิดใช้การยืนยันตัวตนจึงไม่ช่วยป้องกันคุณ ความเสี่ยงสูงสุดอยู่ที่สมาชิก replica set ที่เครือข่ายที่ไม่น่าเชื่อถือหรือโฮสต์แอปพลิเคชันจำนวนมากเข้าถึงได้

สิ่งที่ควรทำตอนนี้

1. ตรวจสอบรายการสมาชิก replica set ของคุณ บนเซิร์ฟเวอร์ MongoDB แต่ละเครื่อง ให้ตรวจว่า mongod ทำงานเป็นส่วนหนึ่งของ replica set หรือไม่ (ดูหัวข้อถัดไป) อินสแตนซ์แบบสแตนด์อโลนไม่จำเป็นต้องดำเนินการเร่งด่วนสำหรับ CVE นี้
2. หาเวอร์ชันที่แก้ไขแล้วสำหรับ release series ของคุณ ticket ของ MongoDB SERVER-138119 (ลิงก์ด้านล่าง) เป็นส่วนหนึ่งของการแก้ไข และระบุเวอร์ชันที่แก้ไขแล้วคือ 9.0.7, 8.3.16, 8.0.37, 7.0.48, 6.0.30, 5.0.35 และ 4.4.32 เปรียบเทียบกับ SERVER-138175 เพื่อยืนยันเวอร์ชันสำหรับ series ของคุณ
3. สำรองการตั้งค่าของคุณ บันทึก /etc/mongod.conf (หรือไฟล์เทียบเท่า) และยืนยันว่ามีการสำรองข้อมูลล่าสุดของคุณอยู่
4. อัปเกรดทีละสมาชิก เริ่มจาก secondary อัปเกรดแพ็กเกจ (เช่น apt install mongodb-org หรือ dnf update mongodb-org) รีสตาร์ต mongod และรอจนสมาชิกแสดงสถานะ SECONDARY อีกครั้งใน rs.status() จากนั้นรัน rs.stepDown() บน primary และอัปเกรดเครื่องนั้นเป็นเครื่องสุดท้าย ในคลัสเตอร์แบบ sharded ให้อัปเกรด replica set ของ config server และ replica set ของทุก shard
5. จำกัดการเข้าถึงเครือข่าย พอร์ต 27017 (หรือพอร์ตที่คุณกำหนดเอง) ควรเข้าถึงได้เฉพาะจากเซิร์ฟเวอร์แอปพลิเคชันและสมาชิกอื่นในคลัสเตอร์ ใช้ firewall หรือ bindIp เพื่อบังคับใช้ ทั้งก่อนและหลังการอัปเดต
6. เฝ้าดูการขัดข้อง ตรวจสอบ log ของ mongod และระบบ monitoring ของคุณว่ามีการรีสตาร์ตที่ไม่คาดคิดหรือไม่ โดยเฉพาะช่วงการเลือกตั้งและ failover

วิธีตรวจสอบว่าคุณได้รับผลกระทบหรือไม่

• ตรวจสอบเวอร์ชันด้วย mongod --version หรือใน mongosh ด้วย db.version()
• ตรวจสอบการเป็นสมาชิก replica set ใน mongosh ด้วย db.hello().setName หากมีชื่อถูกส่งกลับ อินสแตนซ์นั้นเป็นสมาชิก replica set และจะได้รับผลกระทบจนกว่าจะอัปเดต หากไม่มีค่าส่งกลับและ rs.status() แจ้งว่าอินสแตนซ์ไม่ได้ทำงานกับ replication แสดงว่าเป็นอินสแตนซ์แบบสแตนด์อโลนและไม่ได้รับผลกระทบ
• สำหรับคลัสเตอร์แบบ sharded ให้รันการตรวจสอบบนสมาชิกของทุก shard และทุกสมาชิกของ config server
• หากสมาชิกใดใช้เวอร์ชันเก่ากว่าเวอร์ชันที่แก้ไขแล้วของ release series นั้น ให้อัปเดต

แหล่งข้อมูล

• https://nvd.nist.gov/vuln/detail/CVE-2026-118383
• https://jira.mongodb.org/browse/SERVER-138119